教程：使用 IAM 身份中心在 AWS CLI 中运行 Amazon S3 命令

请按照《AWS IAM Identity Center 用户指南》的入门中的说明操作。此过程激活 IAM Identity Center，创建管理用户并添加适当的最低权限集。

退出门户并重新登录以查看您的 AWS 账户、编程访问详细信息以及 Administrator 和 PowerUserAccess 选项。在使用开发工具包时选择 PowerUserAccess。

通过身份提供者的门户登录 AWS。如果您的云管理员已向您授予 PowerUserAccess（开发人员）权限，您将看到您有权访问的 AWS 账户和您的权限集。在您的权限集名称旁边，可以看到有关使用该权限集手动或以编程方式访问账户的选项。

自定义实现可能会产生不同的体验，例如不同的权限集名称。如果您不确定要使用哪个权限集，请联系 IT 团队以寻求帮助。

通过您的 AWS 访问门户登录到 AWS。如果您的云管理员已向您授予 PowerUserAccess（开发人员）权限，您将看到您有权访问的 AWS 账户和您的权限集。在您的权限集名称旁边，可以看到有关使用该权限集手动或以编程方式访问账户的选项。

请联系您的 IT 团队以寻求帮助。

config 文件的 sso-session 部分用于对获取 SSO 访问令牌的配置变量进行分组，然后可以用来获取 AWS 凭证。使用了以下设置：

您可以定义 sso-session 部分并将其与配置文件相关联。必须在 sso-session 部分配置 sso_region 和 sso_start_url 设置。通常，必须在 profile 部分配置 sso_account_id 和 sso_role_name 设置，以便 SDK 可以请求 SSO 凭证。

以下示例将 SDK 配置为请求 SSO 凭证并支持自动令牌刷新：

$ aws configure sso
SSO session name (Recommended): my-sso
SSO start URL [None]: https://my-sso-portal.awsapps.com/start
SSO region [None]: us-east-1
SSO registration scopes [None]: sso:account:access

要获得双栈支持，您可以使用双栈 SSO 起始 URL 格式：

$ aws configure sso
SSO session name (Recommended): my-sso
SSO start URL [None]: https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
SSO region [None]: us-east-1
SSO registration scopes [None]: sso:account:access

以下示例显示如何使用虚 URL 配置 SSO。如果贵组织提供了重定向到 IAM Identity Center 访问门户的虚 URL（例如 https://aws.mycompany.com），则可以将其作为 SSO 起始 URL 输入。AWS CLI 自动解析重定向并派生区域，因此会跳过 sso_region 提示：

$ aws configure sso
SSO session name (Recommended): my-sso
SSO start URL [None]: https://aws.mycompany.com
SSO registration scopes [None]: sso:account:access

当您使用虚 URL 时，每次运行 aws sso login 时，AWS CLI 都会重新解析重定向。如果组织失效转移到其它区域，则您的下次登录将自动使用新区域。无需更改任何配置。

从版本 2.22.0 开始，代码交换的证明密钥（PKCE）授权默认用于 AWS CLI，并且必须在带浏览器的设备上使用。要继续使用设备授权，请附加 --use-device-code 选项。

$ aws configure sso --use-device-code

config 文件的 sso-session 部分用于对获取 SSO 访问令牌的配置变量进行分组，然后可以用来获取 AWS 凭证。使用了以下设置：

您定义一个 sso-session 部分并将其关联到配置文件。必须在 sso-session 部分内设置 sso_region 和 sso_start_url。通常，sso_account_id 和 sso_role_name 必须在 profile 部分进行设置，以便 SDK 可以请求 SSO 凭证。

以下示例将 SDK 配置为请求 SSO 凭证并支持自动令牌刷新：

[profile my-dev-profile]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

要获得双栈支持，请使用双栈 SSO 起始 URL 格式：

[profile my-dev-profile]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
sso_registration_scopes = sso:account:access

身份验证令牌缓存到 ~/.aws/sso/cache 目录下的磁盘上，文件名基于会话名称。